Binance heeft iPhone-gebruikers gewaarschuwd voor een kwetsbaarheid in Apples iOS die kwaadwillende apps in staat zou kunnen stellen bestanden te lezen die door andere apps zijn opgeslagen, waardoor seed phrases van crypto wallets, privésleutels en inloggegevens risico lopen.

De kwetsbaarheid, genaamd "worse_query," treft iOS 26.7.1, 27.0.1 en 27.2, aldus de beurs in een bericht op X op dinsdag. Binance benadrukte dat het probleem het gehele Apple-ecosysteem omvat en niet beperkt is tot één enkele app of platform, en ook niet uniek is voor de beurs zelf.

A vulnerability (worse_query) affecting iOS 26.7.1, 27.0.1, and 27.2 allows malicious apps to read local files from other apps, putting seed phrases, private keys, and login credentials at risk across the entire ecosystem. This is an iOS-level issue, not unique to Binance.…

— Binance (@binance) November 10, 2026 (via X)

Wat Binance adviseerde

De beurs riep gebruikers op om alle apps te verwijderen die vanuit onbetrouwbare bronnen zijn geïnstalleerd, zoals sideloaded of handmatig ondertekende app-bestanden, en om iOS en alle geïnstalleerde apps bij te werken naar de nieuwste officiële versies. Wie een inbreuk vermoedt, zou zijn funds naar een nieuwe wallet moeten verplaatsen die op een schoon apparaat is aangemaakt en alle actieve loginsessies moeten resetten, aldus Binance. De nadruk op een nieuwe wallet hangt samen met de aard van seed phrases: het zijn de hoofdreferenties waaruit self-custody wallets hun privésleutels afleiden, en in tegenstelling tot wachtwoorden kunnen ze niet worden gewijzigd.

Hoe de kwetsbaarheid werkt

iPhone-apps draaien normaal gesproken binnen een sandbox, een beveiligingsgrens die voorkomt dat ze toegang krijgen tot de privébestanden van andere apps. Een onderzoeker die bekendstaat als forcequitOS publiceerde worse_query op GitHub als een sandbox-escape voor iOS 26.0 tot en met 26.7.2 en iOS 27.2, en omschreef het als een proof of concept voor ontwikkelaars dat "op zichzelf niet bruikbaar is."

Tot de locaties die de exploit kan bereiken behoort, volgens de repository, de map waarin iOS-apps hun data opslaan. Die opslaglaag is ook waar self-custody wallet-apps seed phrases en sleutelmateriaal bewaren, en daarom krijgen sandbox-escapes veel aandacht van crypto-securitybedrijven. De repository noemt worse_query de "directe opvolger" van een eerdere exploit, bad_query.

Er zijn tot op heden geen bevestigde meldingen van crypto die via deze kwetsbaarheid is gestolen.

De update van Apple

Apple bracht maandag iOS 27.2.1 uit, één dag nadat de proof of concept was gepubliceerd. De securitynotities vermelden fixes voor negen kwetsbaarheden, waaronder een autorisatieprobleem in App Intents waarmee "een app mogelijk toegang kan krijgen tot gevoelige gebruikersdata," evenals verschillende Bluetooth- en iMessage-fouten.

De notities vermelden echter niet worse_query of de onderzoeker, en Apple heeft publiekelijk niet bevestigd of de update de kwetsbaarheid die Binance beschreef verhelpt. Minstens één securityexpert gelooft dat dit het geval is. 23pds, chief information security officer bij het blockchain-securitybedrijf SlowMist, riep gebruikers op om te updaten naar iOS 27.2.1 en zei in een bericht op X dat de update de worse_query sandbox-escape zou blokkeren, samen met andere dreigingen. Omdat Apples notities de enige openbare registratie zijn van de fixes in een release, staan beoordelingen van derden zoals die van SlowMist tot nu toe als meest specifieke openbare richtlijn over de kwetsbaarheid.

Niet de eerste keer

Het is niet de eerste keer dat aanvallers Apple-apparaten aanvallen. Eerder dit jaar waarschuwde Google voor iOS-malware die crypto-apps op ongepatchte apparaten aanviel, en in augustus meldde het Nederlandse nationale cyberagentschap dat hackers een fout in Apples macOS Screen Sharing-functie misbruikten om Monero-miners op Macs te installeren. Voor iPhone-bezitters die crypto gebruiken onderstrepen deze incidenten dat de verdediging van het besturingssysteem de eerste verdedigingslijn is voor sleutels die op een apparaat zijn opgeslagen.